ASP.NET Bad Practices: Use of Impersonation Context

ユーザー認証情報の偽装により、攻撃者が保護されているリソースに適切な許可なくアクセスする可能性があります。

Microsoft ASP.NET アプリケーションでは、昇格された権限で操作を実行するために、現在のユーザーやプロセスのセキュリティコンテキストを偽装できます。必要となる Authentication 試行の総回数の削減など、コンテキストの偽装は有用な各種の目的に使用できますが、昇格した権限が不適切にそのままとなってしまうプログラムでは、システム全体のセキュリティリスクが高まることになります。プログラムが別のセキュリティコンテキストで実行しているときに、攻撃者がこのプログラムの別の脆弱性を悪用すると、攻撃者が実行する許可されていない操作すべてが、昇格した権限で実行されます。

例 1: 次のコード例は、システムに常に WindowsIdentity.Impersonate() メソッドを使用して認証情報を偽装する通常の使用パターンを示しています。

using System.Security.Principal;
...

//Get the identity of the current user
IIdentity contextId = HttpContext.Current.User.Identity;
WindowsIdentity userId = (WindowsIdentity)contextId;

//Temporarily impersonate
WindowsImpersonationContext imp = userId.Impersonate();

//Perform tasks using the caller's security context
DoSecuritySensitiveTasks();

//Clean up and restore our old security context
impersonate.Undo();

Example 1 のコードは、現在のユーザーのセキュリティコンテキストを偽装して、昇格した操作を実行するためにこの偽装した権限を使用しています。DoSecuritySensitiveTasks() をコールした後、コードは元のセキュリティコンテキストに戻そうとしますが、DoSecuritySensitiveTasks() で例外が発生する場合、Undo() メソッドはコールされることがなく、プログラムは引き続き偽装されたセキュリティコンテキストを使用することになります。